Privacybeleid

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke voor de via de dienst Lou verzamelde gegevens is:

• COME & H, SASU met een maatschappelijk kapitaal van € 3.000 (uitgever van de dienst "Lou")
• Handelsregister Lyon nr. 921 125 191 — SIRET: 921 125 191 00012
• Statutaire zetel: 12 rue de la Part-Dieu, 69003 Lyon, Frankrijk
• Telefoon: +33 (0)4 65 84 10 97
• Contact gegevensbescherming: dpo@lou.care

Rol van de partners

De rol van de Uitgever verschilt naargelang de betrokken verwerking:

Gezamenlijke verantwoordelijkheid — verdeling (art. 26, lid 1):

• de Uitgever verzorgt de technische levering van de dienst, de beveiliging, de bewaring, de informatie aan de betrokkenen en de behandeling van verzoeken tot uitoefening van rechten;
• de partner beslist over de terbeschikkingstelling van de dienst in zijn vestiging, over de catalogus en de campagnes, en verwerkt de aan hem doorgegeven uitwisselingen wanneer een van zijn professionals overneemt.

🚨 Ongeacht de partner kunt u al uw rechten uitoefenen bij de Uitgever, die uw enige contactpunt is in de zin van artikel 26, lid 1: dpo@lou.care. U behoudt de mogelijkheid uw rechten uit te oefenen bij elk van de gezamenlijke verwerkingsverantwoordelijken (art. 26, lid 3).

2. Voor wie dit beleid geldt

Het bestrijkt drie gebruiksvormen: de bezoeker (gesprek zonder account), de houder van een particulier account (geschiedenis, favorieten, profielen) en de professional (toegang tot de zakelijke ruimte). De onderdelen vermelden waar nodig de betrokken gebruiksvorm.

Een professional die zijn account koppelt aan een externe toepassing (AI-assistentconnector) valt daarnaast onder het privacybeleid van de MCP-connector, dat dit beleid aanvult.

3. Verzamelde gegevens

Gesprek (alle gebruiksvormen)

• Gespreksgegevens: inhoud van de met Lou uitgewisselde berichten, technische identificatiegegevens van het gesprek en van het bericht.
• Sessiegegevens: technische sessie-identificatie (cookie lou_session_id), gescand verkooppunt, door de QR-code aangeduid merk of product.
• Technische gegevens: IP-adres, onomkeerbaar gehasht met een geheim zout (HMAC-SHA256) met het oog op beveiliging (misbruikbestrijding, snelheidsbeperking) — er wordt geen onbewerkt IP-adres bewaard. User-agent, campagneparameters, tijdstempels.
• Gegevens over de bezoekcontext: bij benadering de locatie op het niveau van land, regio en stad, door onze hoster afgeleid uit het IP-adres (de herleiding gebeurt aan de zijde van het distributienetwerk — Lou ontvangt nooit het onbewerkte IP-adres); apparaattype, besturingssysteem en browser afgeleid uit de user-agent. De nauwkeurigheid van geolocatie op basis van IP is beperkt en louter indicatief.
• Foto's: wanneer u een foto verzendt (product, vraag aan een professional), wordt deze bewaard gedurende de tijd die nodig is om uw verzoek te behandelen. De opnamemetagegevens (waaronder geolocatie) worden bij ontvangst verwijderd.

Particulier account

• Identificatiegegevens: weergavenaam, e-mailadres, authenticatiemiddelen (wachtwoord, toegangssleutel of Google-/Apple-inloggegevens indien u die aanmeldwijze kiest).
• Profielen: voor uzelf en, indien u dat wenst, voor uw naasten — weergavenaam, verwantschap, geboortedatum, opgegeven gevoelige groepen, opgegeven allergieën, huid- en haarkenmerken, voorkeuren.
• Gebruik: favorieten, gespreksgeschiedenis, uit uw surfgedrag afgeleide voorkeuren, toestemmingen en de geschiedenis daarvan, meldingsinstellingen.

Professional

• Identificatiegegevens en koppeling aan een vestiging, aanmeld- en actielogboeken, factureringsgegevens.

4. Gezondheidsgegevens

Bepaalde gegevens die u verstrekt (gevoelige groepen, allergieën, of wat u spontaan in het gesprek schrijft) vormen gegevens over gezondheid, beschermd door artikel 9 AVG. Zij worden afzonderlijk verwerkt:

• Veiligheid — uw opgegeven groepen en allergieën dienen om producten uit te sluiten die niet voor u geschikt zijn. Dit filter is altijd actief en berust op uw uitdrukkelijke toestemming, gegeven bij het invullen van het profiel.
• Commerciële personalisatie — het gebruik van diezelfde gegevens om u gepersonaliseerde aanbiedingen of aanbevelingen te doen, is standaard uitgeschakeld. Het vereist een afzonderlijke, specifieke en te allen tijde intrekbare toestemming, los van het gebruik van de dienst.
• Uitwisseling met een professional — wanneer uw verzoek wordt doorgegeven aan een professional van de vestiging, krijgt deze toegang tot de gespreksdraad om te antwoorden. Voor die uitwisselingen geldt een eigen bewaarregeling (zie artikel 6).

Gezondheidsgerelateerde inhoud wordt in de dienst uitsluitend geactiveerd bij partners die daartoe uitdrukkelijk gemachtigd zijn en de bijbehorende verbintenissen hebben ondertekend.

Profielen van naasten

De dienst stelt u in staat het profiel van een derde (een kind, een ouder) vast te leggen. Doet u dat, dan moet u die persoon informeren dat zijn gegevens in uw account staan en dat hij de in artikel 9 beschreven rechten heeft. U kunt een profiel te allen tijde verwijderen; die verwijdering wist de gespreksgeschiedenis niet, die weer aan uw standaardprofiel wordt gekoppeld.

5. Doeleinden en rechtsgronden

6. Bewaartermijnen

De hierboven vermelde anonimisering is niet omkeerbaar: de inhoud van de berichten, het gehashte IP-adres, de user-agent, de stad, de regio en de sessie-identificatie worden definitief gewist.

7. Ontvangers en dienstverleners

Uw gegevens zijn uitsluitend toegankelijk voor daartoe gemachtigde personen bij de Uitgever, voor partners onder de voorwaarden van artikel 1 (door een professional behandelde uitwisseling, geaggregeerde statistieken), en voor de volgende technische dienstverleners:

De door Lou gebruikte aanbieders van taalmodellen verwerken de gegevens uitsluitend om het gevraagde antwoord te genereren; hergebruik voor trainingsdoeleinden is uitgeschakeld.

Er worden geen gegevens overgedragen, verhuurd of verkocht aan derden voor commerciële doeleinden.

8. Doorgiften buiten de Europese Unie

De gegevens worden verwerkt en opgeslagen binnen de Europese Unie. Verscheidene van de hierboven genoemde dienstverleners zijn evenwel in de Verenigde Staten gevestigd of kunnen van daaruit toegang krijgen voor technische ondersteuning. Die toegang is omkaderd door de door de Europese Commissie vastgestelde modelcontractbepalingen, in voorkomend geval aangevuld met de certificering van de dienstverlener onder het EU-VS-gegevensprivacykader, alsook met aanvullende technische maatregelen (versleuteling tijdens overdracht en in rust, minimalisering van de doorgegeven gegevens).

U kunt een afschrift van de toepasselijke waarborgen verkrijgen door te schrijven naar dpo@lou.care.

9. Profilering en geautomatiseerde besluiten

De dienst analyseert uw surfgedrag en uw interacties om u producten voor te stellen die bij u kunnen passen. Die verwerking vormt profilering in de zin van artikel 4, punt 4, AVG.

• Zij leidt tot geen enkel geautomatiseerd besluit met rechtsgevolgen of dat u anderszins in aanmerkelijke mate treft in de zin van artikel 22.
• Gezondheidsgegevens worden daarvoor uitsluitend gebruikt met uw afzonderlijke uitdrukkelijke toestemming (zie artikel 4).
• U kunt te allen tijde bezwaar maken via de instellingen van uw account of door te schrijven naar dpo@lou.care. Het veiligheidsfilter blijft daarbij actief: het beschermt u, het richt zich niet op u.

10. Cookies en trackers

De bijzonderheden over de geplaatste cookies, hun doel en hun duur staan in het cookiebeleid.

Lou plaatst een technische sessiecookie (lou_session_id, HttpOnly, Secure, SameSite=Lax) met een duur van 90 dagen, voortschrijdend. Deze waarborgt de continuïteit van uw gesprek en stelt u in staat uw uitwisselingen terug te vinden wanneer u terugkeert.

Deze cookie is strikt noodzakelijk voor de levering van de door de gebruiker uitdrukkelijk gevraagde dienst: zonder deze kan het gesprek niet van het ene bericht naar het volgende worden voortgezet. Zij is daarom niet onderworpen aan voorafgaande toestemming.

Er wordt geen advertentiecookie geplaatst. De publieksmeting gebeurt zonder tracker op uw apparaat en zonder uw surfgedrag op andere sites te volgen; de bijbehorende gegevens worden uitsluitend voor statistische en beveiligingsdoeleinden gebruikt.

Wordt er een account aangemaakt, dan wordt een authenticatiecookie geplaatst om uw sessie open te houden.

11. Rechten van de betrokkenen

Overeenkomstig de AVG en de Franse wet op de gegevensbescherming beschikt u over de volgende rechten:

• Recht op inzage — bevestiging verkrijgen dat u betreffende gegevens worden verwerkt en daarvan een kopie ontvangen;
• Recht op rectificatie — onjuiste of onvolledige gegevens laten corrigeren;
• Recht op wissing ("recht op vergetelheid") — de wissing van uw gegevens verkrijgen in de gevallen bedoeld in art. 17;
• Recht op overdraagbaarheid — de door u verstrekte gegevens ontvangen in een gestructureerd, gangbaar formaat;
• Recht van bezwaar — om redenen die verband houden met uw specifieke situatie bezwaar maken tegen een verwerking op grond van gerechtvaardigd belang;
• Recht op beperking van de verwerking;
• Recht om uw toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de eerder verrichte verwerking;
• Recht om richtlijnen vast te stellen over het lot van uw gegevens na uw overlijden.

Deze rechten worden kosteloos uitgeoefend via ons daartoe bestemde formulier of per e-mail aan dpo@lou.care. Wij antwoorden binnen één maand na ontvangst van het verzoek, verlengbaar met twee maanden bij complexiteit of een groot aantal verzoeken — u wordt daarvan binnen de oorspronkelijke termijn in kennis gesteld (art. 12, lid 3, AVG).

Bij aanhoudende onenigheid kunt u een klacht indienen bij de Commission nationale de l'informatique et des libertés (CNIL), de Franse gegevensbeschermingsautoriteit, www.cnil.fr.

12. Beveiliging

Lou treft technische en organisatorische maatregelen die zijn afgestemd op het risico: TLS-versleuteling tijdens overdracht, versleuteling in rust, hashing van gevoelige technische identificatiegegevens, strikte scheiding van gegevens tussen partners, roltoegangscontrole, geauditeerde logging van toegang tot gezondheidsgegevens, scheiding van omgevingen, verplichte codebeoordelingen en doorlopende bewaking.

In geval van een inbreuk in verband met persoonsgegevens die waarschijnlijk een risico voor uw rechten en vrijheden inhoudt, stelt de Uitgever de CNIL daarvan binnen 72 uur in kennis en, wanneer het risico hoog is, de betrokkenen zo spoedig mogelijk (art. 33 en 34 AVG).

13. Wijzigingen van het beleid

Dit beleid kan worden bijgewerkt om een ontwikkeling van de dienst of van het wettelijk kader weer te geven. De datum van de laatste bijwerking staat boven aan de pagina. Elke wezenlijke wijziging wordt de accounthouders op passende wijze ter kennis gebracht.